認証なしに遠隔でシステム制御権を奪取できるセキュリティ脆弱性「PHP2Shell」が公開されたことを受け、外部ウェブサーバーだけでなく企業内部ネットワークに接続されたネットワーク機器のセキュリティ点検の必要性が指摘された。特にネットワーク接続ストレージ（NAS）やルーター、ファイアウォールなどの内部機器がサイバー攻撃の主要な標的となる可能性がある。
ジニアンスは企業内部ネットワークに接続されたネットワーク機器のセキュリティ脅威が高まっているとし、企業や機関に内部資産の点検と先制的なセキュリティ対策を推奨すると30日に発表した。
ジニアンスは攻撃者の侵入経路がすでにウェブサーバーを越えて内部ネットワークのNAS、ルーター、セキュリティ機器に移動していると見ている。しかし、現在大多数の企業や機関のセキュリティ対策は脆弱性診断エンジンや外部スキャンを通じて特定された公用ウェブサーバー中心のパッチ推奨にとどまっているとの指摘がある。
実際、PHP2Shell脆弱性は10月26日にアメリカのサイバーセキュリティ・インフラセキュリティ庁（CISA）の「知られている悪用脆弱性（KEV）」リストに公式に掲載され、実際の悪用が確認された。攻撃者は外部から見えない内部プライベートIP帯域の脆弱な機器を掌握し、これを内部侵入拡散の足がかりにしたり、ランサムウェアを拡散する手法を利用している。
ジニアンスは今回の脆弱性の主要な危険要因として、攻撃対象が外部に公開されたウェブサービスだけでなく企業内部ネットワークの機器管理インターフェースまで拡大した点を挙げた。
ジニアンスは最近、国内でも脆弱なストレージ機器を狙ったランサムウェア感染被害が相次いで報告されるなど、危険が具体化していると説明した。
同社によると、実際の企業顧客環境で収集した機器識別データを分析した結果、内部ネットワークのセキュリティ脆弱状況が確認された。
ジニアンスがクラウドベースのネットワークアクセス制御（NAC）プラットフォームに連動した機器識別データを分析したところ、内部ネットワークでPHPを動作させている機器の96%がPHP2Shell脆弱性にさらされていることが明らかになった。脆弱機器の78%は公式サポートが終了したPHP 8.1以下の古いバージョンを使用していた。2018年にサポートが終了したPHP 5.x以下のバージョンを使用している機器も48%に達した。
機器タイプ別では、従来の一般サーバーが24%にとどまった。CCTV・映像保存装置とセキュリティソリューションが20%、RFIDリーダーなどのIoT機器が17%を占めた。機器タイプを特定できなかった資産も27%と集計された。
特に確認された機器の89%は外部インターネット検索エンジンやスキャナーでアクセスできないプライベート内部ネットワーク（IP）帯域に位置していた。ジニアンスは管理者が内部機器にPHPがインストールされていることを認識していないため、脆弱性が長期間放置される可能性があると説明した。
同社はまた、外部スキャンツールだけでは内部ネットワークの脆弱機器を把握するには限界があり、企業内部ネットワークに接続された全資産を正確に特定する作業が優先されるべきだと説明した。
キム・ギョンヨンジニアンス米国法人長・最高技術責任者（CTO）は「内部ネットワークに位置する管理型機器はウェブコンソール応答データおよび内蔵構成要素を精密に特定しなければ、PHPの動作有無を把握できない」とし、「特に製造者のサポートが終了し公式パッチが存在しない古い機器やパッチ配布前段階の機器は、交換前までネットワークアクセスを即座に遮断・隔離する先制的な制御が必須である」と述べた。
* この記事はAIによって翻訳されました。
